Eigen mailserver in 2026: moeilijker dan ooit, maar ook belangrijker dan ooit

Een eigen mailserver draaien was lang een normaal iets. Postfix installeren, MX-records aanpassen, klaar. Die tijd is voorbij.

In november 2025 begon Gmail met het actief weigeren van niet-conforme berichten op SMTP-niveau. Geen spam-map. Weigeren. Harde bounces met 5.7.26-foutcodes voor authenticatiefouten. Microsoft volgde met 550 5.7.515-weigeringen voor afzenders zonder correct SPF, DKIM en DMARC. Yahoo sloot zich aan. Als je mail zijn identiteit niet bewijst, bereikt het geen enkele map.

Kort gezegd: eigen e-mail hosten kan nog steeds in 2026, maar de lat is flink hoger komen te liggen. Het privacyargument is sterker dan ooit (AVG-dataminimalisatie, geen verwerking door derden, volledig audittrail). De operationele complexiteit ook. Dit artikel brengt de afweging in kaart: wanneer selfhosting zinvol is, wanneer een privacyvriendelijke managed provider de pragmatische keuze is, en wanneer Google Workspace of Microsoft 365 het eerlijke antwoord is.

Inhoudsopgave

• Waaraan een conforme mailserver moet voldoen in 2026
• De reputatieval van IP-adressen
• Het privacyargument: sterker dan je denkt
• Wanneer selfhosting zinvol is
• De middenweg: privacyvriendelijke managed providers
• Wanneer Google Workspace of Microsoft 365 het eerlijke antwoord is
• De afweging maken
• Belangrijkste inzichten

Waaraan een conforme mailserver moet voldoen in 2026

De technische eisen voor betrouwbare e-mailbezorging zijn flink uitgebreid. Een zelfgehoste mailserver moet tegenwoordig aan al het volgende voldoen:

• SPF dat elke geautoriseerde afzender vermeldt, onder de 10-lookup-limiet blijft, en -all gebruikt voor harde handhaving
• DKIM met 2048-bit sleutels, correcte selectorrotatie en ondertekende headers voor elk uitgaand bericht
• DMARC op p=reject (het einddoel), met rua-rapportage geconfigureerd en alignment geverifieerd voor zowel SPF als DKIM
• MTA-STS om TLS-encryptie voor inkomende verbindingen af te dwingen en downgrade-aanvallen te voorkomen, plus TLS-RPT voor monitoring
• TLS 1.2 of hoger op alle verbindingen, met geldige certificaten van een vertrouwde CA
• Een statisch IPv4-adres met correcte forward en reverse DNS (PTR-records die overeenkomen met de hostname van je mailserver)
• DNSSEC op je domein, wat een voorwaarde is voor DANE en steeds meer verwacht wordt door ontvangende servers. De internet.nl-test vereist DNSSEC en DANE voor een voldoende score. Volgens onderzoek van Zivver ondersteunde in september 2025 slechts 14% van de onderzochte Nederlandse domeinen DANE en maar 6% MTA-STS.

Verstuur je bulk- of promotionele e-mail, dan komen daar RFC 8058 one-click unsubscribe headers bij en moet je spamklachtenpercentage onder 0,3% blijven (liefst onder 0,1%). Gmail, Microsoft en Yahoo handhaven deze drempel nu alle drie.

Eén onderdeel missen en je bezorgingspercentage stort in. Bijna 17% van alle e-mail komt niet aan door DNS-misconfiguratie en authenticatiefouten. Afzenders die uit compliance vallen, zien hun inbox placement vrijwel direct naar nul dalen.

De technische opzet van SPF, DKIM en DMARC heb ik uitgebreid beschreven in mijn handleiding voor e-mailauthenticatie. Dat artikel loopt DNS-records stap voor stap door. Hier draait het om de grotere vraag: moet je de server draaien waar die records naar verwijzen?

De reputatieval van IP-adressen

Authenticatie op orde krijgen is noodzakelijk, maar niet genoeg. De moeilijkste uitdaging is IP-reputatie.

De meeste VPS-providers wijzen IP-adressen toe uit gedeelde pools. Die pools staan standaard al op "potentiële spammer"-lijsten. Spamhaus houdt een Policy Blocklist (PBL) bij, specifiek voor IP-ranges die niet rechtstreeks mail zouden moeten versturen. Microsoft, Yahoo, Apple iCloud, Proofpoint en Cloudmark raadplegen allemaal Spamhaus-data. Een vermelding blokkeert je bezorging bij vrijwel alle grote mailproviders.

Op gedeelde hosting- of VPS-ranges kan het verwijderen tot drie maanden duren als naburige IP's blijven spammen. Eén gecompromitteerde buurman op hetzelfde subnet kan je reputatie vergiftigen.

Zelfs met een schoon IP begint een nieuwe mailserver met nul reputatie. Gmail en Outlook zullen je berichten throttlen tijdens een opwarmperiode die weken kan duren. In die tijd worden je mails uitgesteld, vertraagd of stilletjes weggegooid. Er is geen dashboard om te checken. Geen supportticket om in te dienen. Je bouwt vertrouwen op bij ondoorzichtige systemen, onderhouden door bedrijven die niet verplicht zijn om je te vertellen wat hun algoritmes als betrouwbaar beschouwen.

Grote providers draaien spamfilters die getraind zijn op miljarden berichten. Zelfgehoste servers leunen op tools als Rspamd of SpamAssassin. Het verschil in detectiekwaliteit is reëel, en het wordt elk jaar groter naarmate grote providers investeren in machine learning-modellen die individuele beheerders niet kunnen evenaren.

Het privacyargument: sterker dan je denkt

Waarom zou je dan toch je eigen e-mail hosten?

Privacy. En niet in de abstracte "ik heb niets te verbergen"-zin. In de concrete, juridisch afdwingbare, AVG-toepasbare zin.

Wanneer je Google Workspace of Microsoft 365 gebruikt, gaat elke e-mail die je organisatie verstuurt en ontvangt door infrastructuur van een Amerikaans bedrijf. Onder de Amerikaanse CLOUD Act kunnen Amerikaanse autoriteiten deze bedrijven dwingen om data te overhandigen, ongeacht waar die is opgeslagen. In maart 2024 oordeelde de Europese Toezichthouder voor Gegevensbescherming (EDPS) dat zelfs het gebruik van Microsoft 365 door de Europese Commissie in strijd was met de EU-wetgeving voor gegevensbescherming. Specifiek vanwege onvoldoende waarborgen voor data die buiten de EU/EER werd doorgestuurd.

Onder AVG Artikel 28 is elke e-mailprovider die namens jou persoonsgegevens verwerkt een verwerker. Je hebt een getekende verwerkersovereenkomst nodig die specificeert welke data wordt verwerkt, met welk doel, en wat er gebeurt als de dienst eindigt. De verwerker mag alleen handelen op basis van jouw gedocumenteerde instructies. Subverwerkers hebben jouw uitdrukkelijke goedkeuring nodig. En de verwerkingsverantwoordelijke (dat ben jij) blijft verantwoordelijk voor de naleving in de hele keten.

Selfhosting haalt de verwerker volledig uit de vergelijking. Je data blijft op je eigen infrastructuur, onder je eigen jurisdictie, verwerkt door software die je zelf beheert. Geen subverwerkers. Geen grensoverschrijdende overdrachten. Geen afhankelijkheid van hoe een ander bedrijf "passende waarborgen" interpreteert.

Voor organisaties die gevoelige data verwerken (advocatenkantoren, zorg, onderzoeksjournalistiek) is dit geen theoretisch voordeel. In de praktijk is het een regulerend vereiste.

Wanneer selfhosting zinvol is

Selfhosting van e-mail is verdedigbaar als drie voorwaarden tegelijk worden vervuld:

1. Je hebt een echte privacy- of compliancevereiste. Gereguleerde sectoren, organisaties die gevoelige data verwerken, of situaties waarin de AVG verwerkingsketen zo kort mogelijk moet zijn.
2. Je hebt de operationele capaciteit. Iemand in je team (of jijzelf) kan consistent tijd besteden aan het monitoren van bezorgbaarheid, het toepassen van beveiligingspatches, het beheren van DNS-records, het roteren van DKIM-sleutels, het lezen van DMARC-rapporten en het reageren op blocklist-incidenten. Reken op 2–5 uur per maand voor een soepel draaiende server, met pieken tijdens incidenten.
3. Je begrijpt de afweging. Je ruilt gemak en betrouwbaarheidsgaranties in voor controle en privacy. Dat is een valide ruil, maar alleen als je er met open ogen instapt.

Tools als Mailcow (Docker-gebaseerd, volledig uitgerust) en Mail-in-a-Box (vereenvoudigd, met duidelijke keuzes) hebben de initiële opzet toegankelijker gemaakt. Mailcow regelt DKIM, antivirus, spamfiltering, webmail en ActiveSync in een Docker Compose-stack. Mail-in-a-Box automatiseert DNS, SSL en basisbeveiligingsconfiguratie op één Ubuntu-server.

Maar een toegankelijke opzet betekent niet toegankelijke operatie. De eerste week gaat prima. De uitdaging zit in maand zes, wanneer een Spamhaus-vermelding verschijnt omdat je VPS-provider een vervuild IP heeft toegewezen, of wanneer Gmail stilletjes je berichten begint te weigeren en je het pas merkt omdat een klant vraagt waarom je factuur nooit is aangekomen.

De middenweg: privacyvriendelijke managed providers

Voor de meeste organisaties is het pragmatische antwoord niet volledige selfhosting en ook niet Big Tech. Het is een privacyvriendelijke managed provider die de operationele complexiteit afhandelt terwijl je data binnen een verdedigbaar juridisch kader blijft.

Migadu (Zwitserland): onbeperkt domeinen en mailboxen, geprijsd op e-mailvolume in plaats van per gebruiker. Zwitserse jurisdictie, buiten de EU maar gedekt door een adequaatheidsbesluit. Geen advertenties, geen datamining. Regelt SPF, DKIM en DMARC-configuratie automatisch.

Proton Mail voor bedrijven (Zwitserland): standaard end-to-end-versleuteling, zero-access-architectuur (Proton kan je mail niet lezen, ook niet onder dwang). ISO 27001-gecertificeerd, SOC 2 Type II-geaudit. Biedt een verwerkersovereenkomst die voldoet aan de eisen van AVG Artikel 28.

Fastmail (Australië): sterk privacytrack record, geen advertenties, transparant privacybeleid. Let op: Fastmail slaat data op in de VS en Australië, wat Standard Contractual Clauses vereist voor AVG-compliance. Niet ideaal voor organisaties met strikte dataresidentie-eisen, maar solide voor teams die privacy prioriteren zonder EU-only hosting nodig te hebben.

Mailbox.org (Duitsland): draait uitsluitend vanuit Duitse datacenters. Volledige AVG-compliance onder de Duitse privacywetgeving. Inclusief agenda, contacten, kantoorpakket en cloudopslag naast e-mail.

Al deze providers nemen de operationele last over: bezorgbaarheid, reputatiebeheer, spamfiltering, uptime, beveiligingspatches. Je behoudt controle over je domein en DNS-records. Je krijgt een getekende verwerkersovereenkomst. En als je ooit weg wilt, neem je je domein mee.

Wanneer Google Workspace of Microsoft 365 het eerlijke antwoord is

Soms is het eerlijke antwoord gewoon: gebruik Google Workspace of Microsoft 365.

Als je organisatie diepe integratie nodig heeft met Google Drive, Docs, Sheets en Meet, of met het Microsoft Office-ecosysteem, Teams en SharePoint, dan is e-mail maar één onderdeel van een groter productiviteitsplatform. Die integraties herbouwen rond een privacyvriendelijke e-mailprovider voegt complexiteit toe die misschien niet te rechtvaardigen is.

Als je team geen technische capaciteit heeft voor e-mailinfrastructuur (zelfs geen DNS-beheer), dan is een volledig beheerd platform met 24/7 support en een 99,9% uptime-SLA de realistische keuze.

Maar stap er wel in met open ogen over wat je inruilt. Google en Microsoft bieden allebei verwerkersovereenkomsten aan en claimen AVG-compliance. Het EDPS-oordeel over Microsoft 365 laat zien dat die claims niet altijd standhouden onder EU-recht. Kies je dit pad, documenteer dan je beslissing, voer een Data Protection Impact Assessment uit waar nodig, en beoordeel de verwerkersovereenkomst en subverwerkerlijst van je provider minstens jaarlijks.

De Duitse Datenschutzkonferenz (DSK) heeft drie aanhoudende zorgen met Microsoft 365 gemarkeerd: onduidelijkheid over wanneer Microsoft als verwerker versus verwerkingsverantwoordelijke optreedt, toegang tot niet-versleutelde persoonsgegevens, en vragen over datasoevereiniteit met informatie die naar de VS stroomt. Deze kwesties zijn niet opgelost. Ze zijn afgedekt met contractuele taal.

De afweging maken

De beslissing gaat eigenlijk niet over e-mailtechnologie. Het gaat erom welke risico's je bereid bent zelf te dragen.

Voor een Nederlandse of Europese organisatie komt de vraag vaak neer op: is AVG Artikel 28-compliance belangrijk genoeg om operationele overhead te accepteren? Zo ja: selfhost of kies een Europese managed provider. Als het productiviteitspakket zwaarder weegt, gebruik dan Google of Microsoft met een goede verwerkersovereenkomst en een eerlijke risicobeoordeling.

Belangrijkste inzichten

• Gmail en Microsoft weigeren niet-conforme e-mail nu op protocolniveau; authenticatie is niet meer optioneel
• Een zelfgehoste mailserver in 2026 vereist minimaal SPF, DKIM, DMARC, MTA-STS, TLS, DNSSEC en correcte reverse DNS
• IP-reputatie is het lastigste onderdeel: nieuwe IP's beginnen met nul vertrouwen en VPS-ranges dragen schuld door associatie
• Het privacyargument is juridisch concreet: selfhosting elimineert de verwerker volledig uit de AVG-keten
• Voor de meeste organisaties biedt een privacyvriendelijke managed provider (Migadu, Proton, Mailbox.org) de beste balans tussen privacy en operationeel comfort
• Google Workspace en Microsoft 365 blijven valide wanneer productiviteitsintegratie zwaarder weegt dan datasoevereiniteit, maar documenteer de afweging